怎么看ELF 结构：观察顺序

程序头表决定加载时的内存映射，节区头表只在链接与调试时有意义，可以完全剥离

观察顺序错了，会在一堆细节里迷失。正确的顺序是：每层只问一个问题。

先说结论

每层只回答一个问题，才不会乱。

• 文件层：做什么
• 加载层：放哪里
• 运行层：怎么走
• 先看字符串与导入
• 有假设再下断点

三层各问什么

程序头表决定加载时的内存映射，节区头表只在链接与调试时有意义，可以完全剥离。

先看字符串和导入

.plt 与 .got 支撑延迟绑定，函数第一次被调用时才把真实地址写进 GOT。

字符串和导入表是成本最低的线索，能省掉大量反汇编时间。

几个具体线索

下面这些是相对确定的细节：

• 静态链接会把 libc 打进二进制，体积 800KB 起步，符号信息也完整得多

什么时候下断点

等你已经能写出「它大概会调用哪个函数」的假设，再下断点验证。先看程序头表再谈其它，加载视图才是运行时的真相。

还有几处容易忽略的

这些细节不影响入门，但影响你判断的准确度。

• ELF 的入口是 _start 而不是 main，main 由 libc 的启动代码在初始化之后调用
• strip 只删掉符号表，字符串常量与调用结构依然可读，分析成本没有想象中高
• PIE 让装载基址随机化，但函数之间的相对偏移与调用关系完全不变，分析时按偏移定位而不是记地址
• 拿节区头表判断加载布局，遇到剥过的样本直接读不出
• 把 e_entry 当成 main，跟进去发现是启动代码
• 以为 strip 过的二进制就没法分析了

观察的顺序，决定了效率。